AI開発ツール「Langflow」に他人の処理を実行される脆弱性　CISAが「悪用確認済み」リストに追加し警戒呼びかけ

要点

• AIエージェント構築ツール「Langflow」の旧バージョンに、他人の処理（フロー）を不正に実行できる脆弱性「CVE-2026-55255」が存在することが判明した。

• 本脆弱性は、認可チェックの不備を利用して権限をバイパスする「不適切な直接オブジェクト参照（IDOR）」に分類される。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が実際の攻撃で悪用されているとして「悪用が確認されている脆弱性カタログ」に追加した。

• 脆弱性の深刻度を評価するCVSS 3.1において、評価組織であるGitHub（CNA）は基本スコアを10点満点中「8.4（高深刻度）」と算出している。

• 開発元はすでに脆弱性を修正しており、バージョン1.9.1（一部資料では1.9.2）への移行やベンダーの指示に基づく迅速な緩和策の適用が求められる。

• AI（人工知能）を活用したエージェントやワークフローの構築・デプロイを行うためのオープンソースツール「Langflow」において、認証された他のユーザーのフローを勝手に実行できてしまう重大な脆弱性（CVE-2026-55255）が発見された。この脆弱性はすでに実際の攻撃で悪用されていることが確認されており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月7日（現地時間）に同脆弱性を「悪用が確認されている脆弱性カタログ」に追加し、速やかな対応を呼びかけている。攻撃条件自体は複雑と評価されているものの、すでに実際の悪用が確認されている点が警戒を強める要因となっている。

脆弱性の詳細とメカニズム

今回明らかになった脆弱性「CVE-2026-55255」は、Langflowの /api/v1/responses エンドポイントに存在する。エンドポイントとは、外部プログラムやサービスがシステムと通信を行う際の接続窓口のことである。

この脆弱性は、IDOR（Insecure Direct Object Reference：不適切な直接オブジェクト参照）と呼ばれる認可バイパスの問題に起因している。IDORとは、アプリケーションがデータオブジェクトにアクセスする際、アクセス権限の適切なチェックを行わずに、ユーザーから指定された識別子（IDなど）をそのまま信用してしまうことで発生する脆弱性のことである。

Langflowにおける具体的な動作としては、あらかじめ認証された攻撃者が、リクエストの送信時に標的とする被害者の「フローID」を指定することにより、その被害者に属する任意のフロー（AIの処理プロセスやワークフロー）を実行できてしまう。これにより、本来はアクセス権限のない他人のAI処理を不正に起動させることが可能となっていた。

脆弱性の修正状況と影響バージョン

この脆弱性は、Langflowのバージョン1.9.1（一部の解析説明ドキュメントでは1.9.2とも記載されている）より前のバージョンに存在している。

2026年7月7日にGitHub, Inc.によって行われたCVE情報の更新履歴によると、影響を受けるソフトウェアの範囲について、当初の「1.9.2未満で発生し1.9.2で修正」という内容から、「1.9.1未満で発生し1.9.1で修正」へと変更された。このアップデートにおいて、開発元は該当プログラムのパッチ（修正プログラム）およびプルリクエスト（プログラムの変更を開発元へ提案する機能）をGitHub上に公開し、脆弱性の修正を完了している。

深刻度評価（CVSS）の状況

本脆弱性に対するセキュリティ専門機関による評価状況は以下の通りである。

米国国立標準技術研究所（NIST）が管理する「国家脆弱性データベース（NVD）」による独自の深刻度評価は、現時点では未提供（N/A）となっており、チームメンバーによる関連リンクや評価データの蓄積といった再分析プロセスが進行中である。

一方で、CVE情報の採番や評価を行う権限を持つ組織（CNA）であるGitHub, Inc.は、本脆弱性の深刻度について、セキュリティ評価基準である「CVSSバージョン3.1」を用いてベーススコアを「8.4」の「HIGH（高深刻度）」と評価している。

このスコア算出に用いられた評価ベクターは AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L である。この評価が示す内容は以下の通りである。

• 攻撃元区分（AV:N）: ネットワーク経由でリモートから攻撃可能。
• 攻撃条件の複雑さ（AC:H）: 攻撃を実行するための前提条件や複雑さが高い。
• 必要な特権レベル（PR:L）: 攻撃の実行には、一般ユーザー等の低レベルな権限が必要。
• ユーザー関与（UI:N）: 被害者のユーザーが何らかの操作を実行する必要はない。
• 影響範囲（S:C）: 脆弱性があるコンポーネントから別のコンポーネントへ影響が波及する。
• 機密性への影響（C:H）: 情報が完全に漏洩する、または重要な情報が読み取られる恐れがある。
• 完全性への影響（I:H）: 情報が完全に改ざんされる、または書き換えられる恐れがある。
• 可用性への影響（A:L）: システムが一時的または部分的に停止する可能性がある。

CISAによるカタログ追加と求められる対応

本脆弱性は、CISAが管理する「悪用が確認されている脆弱性カタログ」へ2026年7月7日に追加された。

CISAは連邦政府機関およびインフラ関係者などに対し、バインディング・オペレーショナル・ディレクティブ（BOD 22-01）および「リスクに基づくセキュリティアップデートの優先順位付け（BOD 26-04）」のガイダンス、さらにはCISAの「フォレンジック・トリアージ要件」に準拠した対応を求めている。

具体的に求められる対応策は、開発元（ベンダー）の指示に従って速やかに緩和策を適用することである。対策期限（Due Date）は2026年7月10日と設定されている。緩和策とは、脆弱性による直接的な被害や影響を防ぐための回避策や対策のことを指す。クラウドサービスを利用している関係者についても、BOD 26-04のクラウドサービス向けガイダンスに従うか、緩和策が利用できない場合は該当製品の使用を中止することが求められている。また、資産管理者やステークホルダーは、個々の資産がインターネットに公開されているか（露出状況）を自ら評価し、適切なパッチ適用ガイドラインを遵守する責任がある。

なお、本脆弱性の重要性については、セキュリティ企業Sysdigによるブログ記事「LangflowのCVE-2026-55255の理解と、なぜCVSS値が高い脆弱性が必ずしも最も悪用されるわけではないのか」などでも解説されている。